网络流量监测与分析技术的研究.pdfVIP

篓童三些奎兰堡主兰焦笙塞 技术，使得分析载荷数据变得不现实，而且还应用多协议的方式，数据在传输 过程中有多个特征表现出来，这样P2P应用的数据流特征就会有交集，比如国 内使用的迅雷软件，即使用了自己独立的数据流传输协议，又使用了http传输 协议，这样在分析过程中会造成很大的误识别，使得分析的准确率下降。 1．3流量检测技术 在进行流量检测的时候，需要掌握一些流量检测技术相关的术语，以及相 关的应用场景，首先需要介绍的就是数据流的概念，一般在数据通信中，数据 流就是通信的载体，那么数据流是怎么定义的，数据流是由通信双方的有关特 性组织起来的，这些特性主要能标识出通信的唯一性，以及通信要使用的特征 属性。通信的唯一性主要可以用IP地址来衡量，因此，数据流中最先定义出的 就是源IP地址、和目的IP地址，但是，具体的某个IP只能确定指定的网络应 用的承载体，不能确定具体的网络应用，因此，需要对具体的网络应用进行标 识，标识的属性主要是端口号，所以，端口号即可做为标识具体应用的特征属 性。当然数据流中还携带有开始传输数据的时间、截止传输数据的时间等等特 征。 上行流：规定双向流中，以聚集IP为目的地址的数据包组合成的流，称为 上行流。 下行流：规定双向流中除了上行流之外的另一条流，称之为下行流。 流集合：把满足一定条件的流所组成的集合称为流集合，表达式为si={Fl， 具有相同目的IP地址。 在复杂的网络环境中，针对流量的检测技术也在不断的发展。首先，检测 网络流量的方法是通过检测数据包的端口号来识别网络应用。随着新的技术应 用在数据流量中，例如随机端口的应用使得基于端口识别的网络检测技术变得 不可行；因此需要有一种更为准确的方式来实现流量的识别。在数据传输中， 某些数据载荷字段的值是固定不变的，或者是滑动不变的，所以可以把这部分 的特征作为流量识别的特征属性，这种技术被称为DPI技术。如果只是提取载 荷信息的特征字段，不能很好地表征应用的特征，而且有些应用产生的数据流 很多，如果逐条流去分析的话会导致工作量很大，因此，DFI技术应运而生。DFI 技术主要是通过流量分析得到的数据流行为特征与后台的流量模型作比较，但 是DFI不能细化具体的网络应用。现阶段机器学习算法比较成熟，如果能利用 机器学习算法将网络流量进行合理分类，然后进行特征属性发现，通过有关算 法的分类和聚类的处理，形成一个比较稳定的分类模型，但是这取决于选出的 训练集普遍性，以及特征属性的选取。 万方数据 茎童三些查兰堡主堂垡堡苎 接下来介绍一下DPI检测模型的构成，以及处理过程要完成的工作有：协 议解析、深度包检测。深度包检测技术的主要思想是利用TCP／IP协议中的相关 定义解析出数据包中在每层的信息，解码后的数据包被依次送往对应的协议处 理模块，在每个协议处理模块中进行数据包的重组。在对数据包进行解码时， 采用了深度包检测技术识别具有固定特征的应用，尽量减轻后面的工作量，提 高检测速度，如有异常，则就把识别报告交付给用户。 图1．1协议分析示意图 通过对网络实施数据的大量分析，主要有以下三类数据包形式：第一种是 TCP数据包，该数据流主要特点就是在建立可信的数据流之后才进行数据传输， 主要利用的协议通信特征就是三次握手和四次挥手；一般流媒体数据流主要应 用的就是该种数据包。第二种数据包是UDP数据包，UDP数据包的特征是可以用 于要传输的数据比较少的情况，该数据包的最大特点就是占用资源少，只要有 效的将数据包发出去就行，不关乎目的方是否能有效接受，这种应用可以利用 于聊天类等及时性要求不高的应用；第三种就是ICMP数据包，该种数据包会主 要应用于局域网的网络探测及发现中，因为当一个数据包达到一个局域网时， 4 万方数据 兰查三、业奎兰堡主兰垡笙苎 最重要的就是怎么能快速找到该局域网的那个主机来接受此数据包，因此，如 果在没有记录的情况下，需要广播，通知统一局域网的主机来确定相应主机； 通过研究发现，这三种数据包占据了主要的网